Aave Labs окреслила багаторівневий план безпеки для V4 після аудиторської програми на $1,5 мільйона

Aave Labs опублікували докладний план забезпечення безпеки нової версії найбільшого кредитного протоколу DeFi, виклавши процес аудиту та перевірки тривалістю один рік для Aave V4 та заявивши про намір застосовувати такі практики у майбутньому розвитку протоколу.

У дописі на форумі керування, опублікованому цього тижня, компанія описала зусилля над V4 як "фреймворк із пріоритетом безпеки", де захист смарт-контрактів впроваджується вже на ранніх етапах архітектурної розробки, а не лише як фінальний аудит перед запуском.

Програма поєднала формальну верифікацію, ручні аудити, тестування інваріантів, фазінг і публічний конкурс з безпеки, що разом склали приблизно 345 днів перевірки за участю внутрішніх команд, зовнішніх аудиторів та незалежних дослідників.

Робота фінансувалася за рахунок бюджету на безпеку у розмірі $1,5 млн, затвердженого Aave DAO, згідно з оприлюдненими деталями.

Ключові зобов'язання

Aave Labs заявили, що цей досвід призвів до прийняття п’яти довгострокових зобов’язань щодо безпеки для майбутнього розвитку протоколу.

Впровадження формальної верифікації з самого початку циклів розробки, підтримка багаторівневих методик безпеки, які поєднують різні аудиторські техніки, проведення постійної перевірки разом із розробкою, запуск постійної програми винагород за баги та розвиток сканування смарт-контрактів за допомогою AI були внесені до ключових зобов'язань надалі.

Зокрема, формальна верифікація відіграла центральну роль у процесі V4, зазначили Labs. Компанія Certora брала участь разом із розробниками Aave з найперших стадій проєктування, допомагаючи формувати архітектуру та ідентифікувати вразливості ще до початку основних аудиторських етапів.

Окрім формальної верифікації, протокол пройшов кілька ручних аудиторських раундів за участю компаній, таких як ChainSecurity, Trail of Bits, Blackthorn, а також незалежних дослідників з безпеки. Окремий пакет тестів інваріантів був розроблений із використанням інструментів для фазінгу для перевірки роботи основних компонентів, таких як облік ліквідності, логіка ліквідації та моделі процентних ставок.

Кодова база протоколу також була відкрита для шеститижневого публічного конкурсу з безпеки, що проводився на Sherlock між груднем 2025 і січнем 2026 року. Понад 900 перевірених учасників подали більше 950 виявлень протягом конкурсу, проте програма не зафіксувала жодної критичної або серйозної вразливості.

Aave Labs повідомили, що сама кодова база V4 була свідомо розроблена меншою та більш модульною, ніж її попередник, відповідно до нової архітектури hub-and-spoke, що дозволяє проведення цільових аудитів і спрощений огляд безпеки.

Модель безпеки V4 також врахувала зворотній зв’язок від постачальників ризиків та інтеграторів, які створюють додатки на базі кредитного протоколу. Їхня участь розширила модель загроз, включаючи не лише прямі взаємодії користувачів, а й припущення щодо безпеки інтегрованих систем, які покладаються на ліквідність Aave.

Конфлікт Aave DAO

Заява Aave Labs щодо безпеки з’явилася в період внутрішньої турбулентності в екосистемі Aave. Спори щодо керування загострилися останніми місяцями навколо фінансових видатків, напряму розвитку протоколу й ролі ключових учасників.

На початку цього року BGD Labs — багаторічний технічний учасник, відповідальний за значні частини інфраструктури протоколу — оголосили про намір припинити роботу у зв’язку з Aave після приблизно чотирьох років співпраці.

Нещодавно засновник ACI Marc Zeller повідомив, що Aave Chan Initiative, ще один великий учасник керування, планує покинути протокол у липні через зростаючу напруженість між учасниками.

Ці події відбулися після гострої дискусії щодо пропозиції "Aave will win", яка передбачала зміни доходів і більш широкі плани для майбутнього оновлення V4. Пропозиція отримала 52,6% підтримки на попередньому голосуванні, що підкреслило розкол у DAO щодо майбутнього напряму протоколу.

Aave є найбільшим протоколом ончейн-кредитування та одним із лідерів за щомісячними DeFi-комісіями, згідно з дашбордом даних The Block.